Quels logiciels pour se protéger sur internet ?

Bonjour Miguel,

Je suis également un utilisateur Mac depuis de nombreuse années, et je n’ai pas d’antivirus non plus. Je fais attention à ne pas ouvrir les pièces jointe ou les liens douteux, et je n’ai jamais eut le moindre pb.

Concernant les mots de passe, je ne peux que appuyer votre remarque: ne jamais avoir des mots de passe identique. De plus un mot de passe doit être suffisamment complexe pour être vraiment sécurisé.

Vous parler de logiciel ou addon pour gérer les mots de passe, ils sont en effets assez pratique. Ils permettent de générer des mots de passe complexes, unique pour chaque site, …
Cependant ils ont leurs limites également: vous avez surement plusieurs machines ou vous souhaitez les utiliser. Vous aller donc devoir stocker la base des passwords quelque part sur un cloud privé (dropbox, googledrive, …) pour qu’elle soit atteignable par toutes les machines.
--> si cette base est corrompu, tous vos passwords le sont.
Dans ce genre de produits, vous n’avez pas cité le produit open source "keepass" qui est très pratique.
KeePass Password Safe

Je préfère pour ma part utilisez des passwords que je retiens de manière mnémotechnique. Avec un algorithme qui utilise une partie du nom du site, il devient relativement facile d’avoir des passwords uniques et complexes pour chaque site.

Si vous souhaitez utilisez ce genre de méthode, vous pouvez lire ce document qui en explicite une assez simple. Libre a chacun de l’adapter:
https://support.mozilla.org/fr/kb/creer … r-identite

Chacun doit déterminé sont niveau acceptable de complexité, et très souvent losqu’un addon/application apporte un coté pratique, cela est au détriment de la sécurité globale (password master unique, base stocké sur cloud, etc…)

Pour les mots de passe, attention car il suffit de s’en servir quelques fois sur réseaux non protégés (par ex. http plutôt que https, etc) et ils peuvent être captés.
Pour moi en générale la meilleure protection c’est de travailler sous linux, et de bien contrôler les ports ouverts sur l’extérieur.

crosby a écrit :

Pour les mots de passe, attention car il suffit de s’en servir quelques fois sur réseaux non protégés (par ex. http plutôt que https, etc) et ils peuvent être captés.
Pour moi en générale la meilleure protection c’est de travailler sous linux, et de bien contrôler les ports ouverts sur l’extérieur.

Pour illustrer la partie sur les mots de passe, ici sur le site de notre hôte, les mots de passe sont échangés en clair avec le serveur.

Il faut donc éviter d’utiliser le même mot de passe sur un autre site (surtout en utilisant la même adresse e-mail), sauf si vous n’attachez pas d’importance à la sécurité sur cet autre site.

Votre mot de passe peut facilement être récupéré si vous l’utilisez depuis un Wi-Fi public par exemple.

Sinon, j’utilise aussi uniquement Linux, plus par affinité, même si cela apporte une sécurité accrue.

Je suis aussi sous Mac et donc pas d’antivirus. J’utilise le classique et efficace 1password sur Mac, iPad et iPhone avec synchro continue sur DropBox. Je m’astreins à prendre un mot de passe différent pour chaque site et je suis passé au générateur de mots de passe de 1password sur 20 caractères et chiffres / signes etc.

Vigilence particulière sur le mot de passe de la messagerie : si quelqu’un le craque, tous les sites proposent de vous renvoyer votre mot de passe par messagerie et vous avez donc ouvert la porte de tous les sites où vous avez un compte.

Je n’ai pas trop de crainte avec 1password car le fichier est sérieusement crypté et j’ai en plus bien blindé mot mot de passe sur Dropbox.

Grand Merci a tous, pour votre participation.

sat a écrit :

…/…
PS : Votre lien flickr ne marche pas, il renvoie sur la page d’accueil.

Voici un autre lien qui montre ce a quoi ressemblait ma premiere Machine
Commodore PET 2001  - Computing History

Crosby a écrit :

Pour les mots de passe, attention car il suffit de s’en servir quelques fois sur réseaux non protégés (par ex. http plutôt que https, etc) et ils peuvent être captés.

fred42 a écrit :

Votre mot de passe peut facilement être récupéré si vous l’utilisez depuis un Wi-Fi public par exemple.

Tout a fait Croby,et surtout, comme le mentionne Fred42, éviter les wifi publiques.
En effet ces connections "non sécurisées"hotels, McDo aux USA, sont extrement dangereuses… a moins d’utiliser et comme le mentionne MGA stocker la base des passwords quelque part sur un cloud privé (dropbox, googledrive, …) pour qu’elle soit atteignable par toutes les machines.
une base sur un Memory stick et de l’utiliser de paire avec Authy; c’est clairement une évolution par rapport à l’authenticator de Google.
Même principe (double authentification, token qui change toutes les minutes voire toutes les 20 secondes), mais amélioré.
Le blog explique bien les différents concepts.

MGA a écrit :

Vous parler de logiciel ou addon pour gérer les mots de passe, ils sont en effets assez pratique. Ils permettent de générer des mots de passe complexes, unique pour chaque site, …
Cependant ils ont leurs limites également: ….Vous aller donc devoir stocker la base des passwords quelque part …/…
--> si cette base est corrompu, tous vos passwords le sont.
Dans ce genre de produits, vous n’avez pas cité le produit open source "keepass" qui est très pratique.
KeePass Password Safe

Et oui, depuis E. Snowden, nous avons la confirmation que "big Brother" is watching us.

MGA a écrit :

Je préfère ….des passwords que je retiens de manière mnémotechnique. Avec un algorithme qui utilise une partie du nom du site, …
Si vous souhaitez utilisez ce genre de méthode, vous pouvez lire ce document qui en explicite une assez simple. Libre a chacun de l’adapter:
https://support.mozilla.org/fr/kb/creer … r-identite

En effet il y a aussi Keepass et bien d’autre L’APP Store en propose beaucoup,
La Video  de Mozilla est trés simple et bien faite.

Merci FrançoisOlivier pour ce site : www.antivirus.com#sthash.7QkLXdwm.dpuf

antivirus.com a écrit :

…/…The study found 12.6 million victims of identity fraud in the United States in the past year, equal to 1 victim every 3 seconds.

Ça fait réfléchir.

jean-Marc a écrit :

J’utilise le classique et efficace 1password sur Mac, iPad et iPhone…/…Vigilence particulière sur le mot de passe de la messagerie…/…

1 password c’est le top! c’est l’avis de tous ce que l’on peut lire.
J’ai testé, c’est super… mais nous sommes tous différents… je vais probablement opter pour la version premium de Lastpass.

Champflo a écrit :

Pour ma part j’utilise Keepass.
…/…
Cela nous donne un mot de passe suffisamment long et sécurisé.
974 quadrillion years pour le cracké selon How Secure Is My Password? déjà cité

Bonsoir Champflo,

Merci d’avoir pris le temps d’expliquer votre utilisation du logiciel Keepass,
que je ne connaissais pas /  il y en a tellement.

Keypass : un logiciel assez complet et gratuit.
il s’apparente a Lastpass et 1password,

Lastpass est gratuit pour la version de base,
La version payante de LP (premium) : 1USD par mois
- ça sert principalement à avoir LP sur TOUS tes supports (smartphone, tablette, …) ce qui je pense est vital.
- ça sert aussi à avoir accès à quelques autres bonus comme utiliser GoogleAuthenticator (ou Authy).
- un meilleur support client, en cas de besoin, soi-disant, + sûrement d’autres trucs probablement inutiles.
- Oh, et aussi plus de pub, donc un peu plus d’espace à l’écran (PC, tablette et smartphone), mais c’est négligeable.

1PASSWORD coûte aux environ de USD 49 si je me souviens (pour la version complète) US 17.99 pour la version mobile. Jean-Marc pourra éventuellement me corriger.

Et merci pour ce lien, How Secure Is My Password?
Déja mentionné par MGA .
Je viens de faire  le test avec un mot de passe équivalent a celui que j’utilise…
la réponse est étonnante : It would take a desktop about a tredecillion years
Merci Andrek pour votre contribution et appréciation de KeePass.

Addition a 17h47 (mon heure)
is keepass - Buscar con Google
Il semblerait que Keepass ne fonctionne pas trop bien sur O SX.

Dernière modification par Miguel (13/05/2014 01h50)

MGA a écrit :

Je vous encourage à tester vos éventuels passwords sur des sites pour tester leur solidité, tel que: How Secure Is My Password?
Vous pourriez avoir des surprises, à savoir que Mig+1uel est moins securisé que Miguel007 car il a moins de caractères.

Attention avec ces sites inutilement alarmistes… Ils sont là pour vendre de la peur (et parfois dire de grosses bêtises)

Mig+1uel n’est pas moins sécurisé que Miguel007 pour la bonne et simple raison qu’aucun cracker ne va travailler sur l’ensemble du code ASCII. En terme de nombre de combinaisons, le résultat est sensiblement le même, mais jamais un cracker ne va perdre son temps avec des caractères particuliers alors que 0.1% de la population en utilise.
Un cracker utilisera par contre une attaque par dictionnaire, et Miguel007 tiendra à peine un instant.

De plus, les temps donnés représentent quoi ? le temps qu’il faut pour tester la totalité des mots de passes si on dispose des algos, des seeds et de la base de donnée.
Bref, ça n’est applicable dans quasiment aucun cas (et surtout pas dans le cas d’une simple connexion à un site web)

YP a écrit :

Bonjour,

Pour ce qui me concerne, je commencerai par rappeler que la mise à jour automatique du système d’exploitation Windows (ou iOS/Mac) ne devrait pas être optionnelle : des mises à jour de sécurité il y en a plusieurs tous les jours. Activez-les !
Par dessus cette première couche, j’utilise en antivirus la version gratuite de Avast  -et en pare-feu, la version gratuite de Zone Alarm. Chacun a bien sûr une mise à jour automatique quotidienne automatisée.

Ça on ne le répétera jamais assez, mais je pense que sur le forum, la plus part d’entre nous ne rate jamais une MAJ.

Avec Linux ou Apple je pense que les antivirus et pare-feu, ne sont pas nécessaires. Merci de me rectifier, si je me trompe.

YP a écrit :

Pour ce qui est de la sécurité des accès à mes différents comptes sur internet : j’ai un mot de passe "complexe" pour l’e-mail. Certaines fournisseurs m’obligent à un certain type de format de mot de passe (à commencer par ma banque). Dans ce cas, je n’ai pas vraiment le choix…

Oui Certaines banques sont pas tres bien équipées en matiere de sécurité; pour n’en citer que deux que je connais, la C/E par exemple un code a 4 chiffres, le C/A un code a 6 chiffres,  mais 3 essais et le compte est bloqué, ça rassure… un peu.
Gmail je crois que l’on peut mettre jusqu’a 99 caracteres

YP a écrit :

De façon générale d’ailleurs, je ne crains pas les interceptions "à la volée" mais par contre je me méfie des choses stockées dans les bases de données des entreprises / administrations (Amazon, PayPal, Trésor Public, etc.). Ce sont ces bases qui sont braquées 99,9% du temps.
Je n’enregistre pas mes données compte/carte bancaire chez autrui. Si’ j’y suis obligé pour terminer une transaction, je retourne tout supprimer lorsque j’ai eu ce que je voulais.

Un excellent conseil que je vais mettre en place.

YP a écrit :

Toutefois, j’insiste sur un point : tous ces aspects servent à nous protéger des amateurs -même (très) compétents et bien financés.
Par contre, si vous avez de vrais secrets à protéger, ce n’est pas ces protections qui arrêteront les curieux…
La NSA (et le GCHQ et la DGSE et…) est capable de casser un mot de passe Gmail en moins de 3 minutes > cf. les documents rendus publics par Edward Snowden :   Edward Snowden ? Wikipédia
Si vous avez de vrais secrets à protéger, passez à la cryptographie forte : Pretty Good Privacy en particulier : Pretty Good Privacy ? Wikipédia
et :
PGP, logiciel de cryptographie gratuit et en français
(OpenPGP en français)

Oui,  des secrets d Etat .  ;-)

YP a écrit :

…sachant que, quel que soit l’outil de sécurité, la plus grosse vulnérabilité c’est toujours l’utilisateur.

Merci pour cette excellente contribution.

Merci Derival,

j’ai pas tout compris mais je me forme …

Derival a écrit :

Miguel a écrit :

Oui Certaines banques sont pas tres bien équipées en matiere de sécurité; pour n’en citer que deux que je connais, la C/E par exemple un code a 4 chiffres, le C/A un code a 6 chiffres,  mais 3 essais et le compte est bloqué, ça rassure… un peu.
Gmail je crois que l’on peut mettre jusqu’a 99 caracteres

Ce sont dans tous les cas des "authentifications faibles". L’authentification forte, c’est à dire par code unique généré par un appareil indépendant au moment où vous en avez besoin sera beaucoup plus efficace. Je n’ai ça que chez une seule de mes banques. A noter que sur Boursorama, où on vous demande un code d’authentification envoyé par SMS pour certaines opérations, ce peut être vu comme une authentification semi-forte. "Semi", car il y a un tiers (votre opérateur) qui peut avoir connaissance du code et le stocker (intentionnellement ou non, et se le faire voler par la suite).

J’ai également une seule "bank" qui a ce systeme  "par un appareil indépendant"
Fortunéo aussi envoi des "codes d’accés" par SMS sur certaines opérations "dites sensibles"
et également par message vocal.
Les messageries gmail et yahoo également fonctionnent par SMS.

Que pensez vous de authy ou authentificator de google ?
j’ai trouvé ceci Google
Je vais m’instuire un peu plus tard ce soir.

Par ailleurs je viens de recevoir hier, un mail de ebay
eBay aura attendu le 27 mai pour me dire de changer mon mot de passe suite à leur piratage (il y a 2 ou 3 mois) et environ une semaine après l’annonce publique.
Ça laisse rêveur…
on commence a trouver
full ebay user database dump with 145 312 663 unique records - Pastebin.com

Bonsoir,

@Miguel

-Je serais bien incapable de vous conseiller sur MAC parce que je n’y connais rien mais je vous renvoie sur ce site : Viruslist.com - 10 astuces simples pour renforcer la sécurité de votre Mac

Sur MAC OS X le Firewall intégré fonctionne comme sur XP : basé sur le flux entrant donc si vous vous infectez rien ne sera bloqué puisse que sortant de votre ordinateur.

Vous pouvez aussi lire l’évolution des menaces au T1 2014 de Kaspersky : Viruslist.com - Evolution des menaces informatiques au 1er trimestre 2014

Je vous en colle un petit bout qui confirme ce que je disais plus haut sur le temps de détection et la longueur de l’attaque:

En septembre 2013, nous avions publié un article consacré à une attaque ciblée qui visait principalement la Corée du Sud et le Japon et qui avait été baptisée Icefog. La majorité des campagnes APT durent des mois, voire des années, et volent les données de leurs victimes de façon continue. Les attaquants à l’origine d’Icefog, pour leur part, s’étaient concentrés sur une victime à la fois et avaient organisé des frappes chirurgicales afin de voler des données spécifiques. La campagne, active depuis au moins 2011, impliquait l’utilisation d’une série de versions différentes de programmes malveillants, dont un pour Mac OS.

Pour parler de la banque,si on prend un attaque spécifique type keylog vous pouvez inventer tous les caractères spéciaux que vous voulez cela ne servira a rien.C’est la frappe clavier qui est recopiée.
Dans le cas d’un code a 4 chiffres vous le cliquez a la souris sur une image dont les chiffres ne sont jamais placés au même endroit:ce n’est pas enregistrable.

Comme vous l’avez dit on ne peut plus casser le code par brute-force car après 3 tentatives les comptes sont bloqués.

@ Derival

Il faut préciser que le port 25 (SMTP) est celui qui vous permet d’envoyer du courrier mais pas de le recevoir (pop et imap)
Si vous le bloquez vous ne pouvez plus envoyer de mail.
Les box ont souvent le filtrage SMTP dans les paramètres mais si vous filtrez par exemple avec une box SFR vous ne pourrez plus envoyer de mail avec votre client mail via un compte Laposte.net

Le DDOS est détecté par les FW  dans le cas ou notre PC est vérolé il sera facile de le désinfecter par contre si on le subit c’est plus délicat car il sera détecté mais l’attaque repose pour faire simple sur l’attaque d’une forte bande passante sur une faible bande passante.100 méga qui Ddos 20 mega c’est la box qui saute.Il n’y a pas de vol de données juste une paralysie ou coupure de certains sites.
C’est plutôt utilisé pour rançonner ou manifester.

Imaginez lorsque que des milliers de gens (anonymous entre entres) mettent toute leur bande passante dans un DDos.(le site de la CIA est "tombé" quelques minutes et celui de Sarkozy a nécessité d’être changé de serveur toute une nuit)Je ne parle pas des succès seulement des échecs.

Pour le sensationnel un lien :

câble sous marin : La NSA a piraté un câble utilisé par Orange

Je ne sais pas si il cassent des clés mais ils en ont pas réellement besoin.

Pour finir la dernière bestiole qui se négocie sur le marché clé en main : Logiciel espion, « sextorsions » et arrestations : Blackshades, le polar du jour

Bonne soirée.

Plusieurs choses :
- Les attaques par brute force ne se font jamais "en ligne" mais une fois que la base de données de l’entreprise ciblée a été récupérée. Il faut en effet tester parfois plusieurs dizaines de milliards de combinaisons différentes.

- La difficulté pour décrypter un mot de passe dépend de sa compléxité bien sûr mais aussi énormément du type de cryptage utilisé. Certains sont aujourd’hui obsolètes comme le MD5 alors qu’ils sont encore couramment utilisés (p-e même sur devenir rentier !). Il existe aussi des techniques supplémentaires pour ralentir le décryptage comme l’utilisation d’un salt.

- les claviers virtuels proposés par les banques permettent (en théorie) d’éviter les attaques par "keylogger", c’est à dire un logiciel enregistrant les frappes de touches sur le clavier. Il faut noter que 1 - lorsqu’on a un keylogger cela veut dire que la machine a déjà été infectée et donc que théoriquement tous les fichiers de l’ordinateur peuvent être accessibles par l’attaquant. Il pourra aussi récupérer les informations d’une carte bleue lors d’un paiement en ligne. 2 - des keylogger récents détectent lorsque l’on va sur le site internet de sa banque et prennent des captures d’écrans au moment où l’on clique sur les chiffres. Bref cette protection est aujourd’hui d’une efficacité limitée.

- Je ne sais pas pour les Windows plus anciens mais Windows 8 a un antivirus/antispyware et un firewall (entrant ET sortant) intégrés. Plusieurs études montrent que l’antivirus est un peu moins performant que ce qu’il y a chez la concurrence mais il a plusieurs avantages :
* il ralentit très peu la machine
* il n’y a quasiment pas de problèmes de compatibilité (il est courant que certains antivirus empêchent le fonctionnement normal d’une application légitime)
* il émet très peu de fausses alertes, c’est important car à force de fausses alertes certains utilisateurs répondent oui systématiquement.

Bref je pense que sur Windows 8 il n’est pas nécessaire de s’embêter avec des logiciels supplémentaires, le point faible étant plutôt le comportement de l’utilisateur (comme le disait justement YP). Je connais mal windows 7 mais il est probable qu’il dispose des mêmes outils.